JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-025344 NLnet LabsのUnboundバージョン1.13.2から1.25.1まで（1.25.1を含む）において、DNSSECで署名されたゾーンの中間ラベルの下に名前が位置するstubまたはforwardゾーンが、親ゾーンからの中間ラベルに対する安全なNXDOMAIN応答によってシャドウイングされる可能性があります。これは、'harden-below-nxdomain'ロジックにおけるオフバイワンのエラーが原因であり、このロジックはデフォルトで有効になっています。結果として、設定が実質的にバイパスされ、設定されたstub/forwardゾーンにはアクセスされなくなります。'harden-below-nxdomain'は、上方向へのDNSキャッシュウォークを行い、stub/forwardゾーンの上でのNXDOMAIN合成を許可しないデリゲーションポイントガードと連動します。このガードはドメイン名をテストしますが、ラベルを取り除く前にテストを行うため、ドメイン名が設定されたstub/forwardゾーンのエイペックスと等しい状態でガードを通過し、さらに1つラベルを剥ぎ取り、エイペックスの直上の公開親キャッシュをプローブします。その親がDNSSECで保護されたNXDOMAINをキャッシュしている場合（これは署名済みの公開名の下に2つ以上のラベルでネストされたプライベート名前空間で発生します）、ウォークはそのNXDOMAINを返し、設定されたstub/forwardゾーンの上流には一切アクセスされません。この問題は、中間ラベル（stub/forwardのエイペックスとDNSSEC親ゾーンの間）へのクエリによってのみ誘発されます。 cpe:/a:nlnetlabs:unbound https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-025344.html Common Vulnerabilities and Exposures (CVE) CVE-2026-44687 https://www.cve.org/CVERecord?id=CVE-2026-44687 National Vulnerability Database (NVD) CVE-2026-44687 https://nvd.nist.gov/vuln/detail/CVE-2026-44687 JVNDB CWE-193 https://cwe.mitre.org/data/definitions/193.html NLnet Labs https://www.nlnetlabs.nl/downloads/unbound/CVE-2026-44687.txt https://www.nlnetlabs.nl/downloads/unbound/CVE-2026-44687.txt 2026-07-27T10:33:16+09:00 2026-07-27T10:33:16+09:00